システム監査の実施と報告

要点と定義

システム監査は、情報システムに関わるリスクへの対応を独立かつ客観的な立場から調べ、評価し、保証や助言を通じて組織の目標達成を支援する活動です。計画、実施、報告とフォローアップの流れで進めます。監査計画では、目的や対象範囲、方法、時期、体制などを定め、リスク評価を考慮します。

監査証拠は、監査の結論を支える情報です。結論を裏付けるには、監査手続を慎重に行い、十分で適切な証拠を集めて評価します。監査の実施記録、調査した情報、証拠、結論に至った道筋を整理する文書が監査調書で、報告書作成の基礎や監査結果の裏付けになります。

監査人が証拠を得てコントロールを評価できるよう、情報システムが構築・整備されていることが望まれます。情報システムが監査可能な状態になるよう設計・運用されている性質を可監査性といいます。監査人の能力や、情報システム部門の協力とは別の観点です。これは過去の出題で扱った補足です。

監査手続の一つである統計的サンプリングでは、母集団から標本を選び、その結果を母集団についての判断に用います。必要な標本件数を事前に定めることはできますが、標本の結果が全件調査と常に一致するわけではありません。これは過去の出題で扱った補足です。

適用条件と例

例えば、複数の拠点にある運用記録を調べる場合、監査目的に沿って母集団を定め、そこから標本を選びます。問題が見つかった記録だけを集めると選び方に偏りが生じ、全体の状況を判断しにくくなります。標本件数や選び方は、監査目的と判断に必要な確かさを踏まえて検討します。標本件数の事前設定と偏りの影響は、過去の出題で扱った補足です。

調査が足りず、監査チームの評価が分かれたなら、追加の手続で証拠を補い、根拠に沿って結論を形成します。多数決で意見を決めるのではなく、意見の相違の原因に応じて調査を補う考え方です。これは過去の出題で扱った補足です。

改善勧告は、証拠に裏付けられた調査結果を基に、監査人が改善の必要性を判断してまとめます。報告前に被監査部門へ事実関係を確認するのは、誤認を防ぐためです。その確認は勧告への承認を求めるものではなく、勧告では実現可能性も考慮します。これらは過去の出題で扱った補足です。

改善策を実行に移せる形にするため、勧告に先立ち被監査部門と実施方法を話し合う場合があります。例えば、提案した手順が現場の作業に合わないと分かったら、改善の目的を保てる実施方法を関係者と検討します。この協議の考え方は過去の出題で扱った補足です。

保証を目的とする監査では、証拠と監査手続の状況を踏まえて意見を形成します。必要な手続が制約され、意見の合理的な根拠を得られない場合は、意見を表明しないという扱いが過去の出題で扱われました。証拠を得られないことだけで、監査対象に重大な欠陥があるとはいえません。